Eu não acho que você está perdendo algo simples. Ou o servidor em questão pode se conectar ao banco de dados sem sua ajuda, nesse caso ele tem ter as credenciais; ou não pode se conectar sem que você os forneça. Você pode executar várias etapas, como as listadas, para torná-lo mais difícil para que um servidor comprometido revele as credenciais para o banco de dados, mas no final do dia, se ele precisar ter essas credenciais e fornecê-las ao servidor de banco de dados para se conectar, elas terão que ser armazenadas em algum lugar ou em pelo menos, terá que ter algum meio de obtê-los e, portanto, será hackeável nesse sentido.

Sua melhor aposta é se concentrar em descobrir sobre intrusões (servidores comprometidos) o mais rápido possível, mantendo bons backups off-site e off-line para o pior caso, colocando muitas barreiras à intrusão em primeiro lugar, etc.